Palo Alto Networks Certified Network Security Administrator (PCNSA)

**混淆 App-ID 和传统 L4 端口匹配** — 经典送命题。PA 策略里写 Application = `web-browsing`，Service = `application-default`，它匹配的是"走在 80/443 上且被识别为 HTTP 的流量"。如果用户用 HTTP 走 8080，application-default 就不匹配，要加 Service 或改成 `any`。很多考生以为"写了 Application 就不用管 Service"，这是错的 — 两个条件是 AND 关系。

**搞不清 User-ID Agent 模式 vs Agentless 模式** — Agent 模式在 AD DC 上装 User-ID Agent 软件，读取 Security Event Log（4624 登录事件）；Agentless 模式防火墙自己用 WMI 直接查 DC 的事件日志。Agent 模式推荐大规模部署，Agentless 适合小环境。考试会问"哪种不需要在 DC 上安装软件"→ Agentless。

**Security Policy 规则顺序错误** — PAN-OS 是 First Match，从上到下。把宽松的规则（如 allow any any）写在严格规则（如 deny facebook）上面就形成 Shadow Rule，下面的永远不会命中。PAN-OS 会在 Web GUI 用黄色警告提示 Shadow，但考试题里需要你自己看出来 — 遇到"规则命中异常"类题先检查顺序。

**NAT 和 Security Policy 执行顺序搞反** — PA 的处理流程是：**先查 NAT 规则（用 Pre-NAT IP 和 Pre-NAT Zone 匹配）→ 再查 Security Policy（用 Pre-NAT IP 但 Post-NAT Zone 匹配）**。最坑的是 Destination NAT 场景：外部用户访问公网 IP 1.1.1.1:443 实际被 NAT 到 DMZ 的 10.0.0.5:443，Security Policy 的源 Zone = Untrust，**目的 Zone = DMZ（Post-NAT），但目的 IP 仍然写 1.1.1.1（Pre-NAT）**。这条规则记混每年都淘汰一批考生。

**以为 Dynamic Update 都是一个频率** — 错。Applications and Threats 默认每周更新、Antivirus 每日、WildFire 每分钟（订阅版）、PAN-DB URL 实时查询云端 + 本地缓存。考试会直接问"哪类更新频率最高" → WildFire。

**忽略 Intrazone vs Interzone 默认规则** — PAN-OS 底部有两条隐式规则：同 Zone 内流量默认 allow（Intrazone-default），跨 Zone 流量默认 deny（Interzone-default）。这意味着你在 Trust Zone 里两台主机互通不需要写 Policy，但 Trust → DMZ 必须显式 allow。新手经常写一堆 Trust 内部的 allow 规则纯属多余。

**把 URL Filtering 的 Action 搞混** — Allow（放行）、Alert（放行 + 记日志）、Block（拒绝）、Continue（弹框警告用户后允许继续）、Override（要求输入密码后继续）。Continue 和 Override 是 PA 特色，其他厂商没有，考试必考两者区别 — Continue 靠用户点按钮、Override 要管理员密码。